工業(yè)控制系統(tǒng)終端設(shè)備信息安全防護(hù)體系分析

趙汝英 張小飛 陳鵬

(1.國(guó)網(wǎng)電力科學(xué)研究院，江蘇南京 211106;2.南京安維士傳動(dòng)技術(shù)股份有限公司，江蘇南京 211103)

0 引言

在第四次工業(yè)革命的大時(shí)代背景下，工業(yè)控制系統(tǒng)已成為推動(dòng)工業(yè)信息化進(jìn)程、促進(jìn)生產(chǎn)模式轉(zhuǎn)型發(fā)展的重要技術(shù)工具。同時(shí)，在實(shí)現(xiàn)從集中控制、分散控制到現(xiàn)場(chǎng)總線控制的變革演進(jìn)后，工業(yè)控制系統(tǒng)對(duì)于工業(yè)生產(chǎn)的重要性與必要性又有了進(jìn)一步增強(qiáng)。但隨之而來的，網(wǎng)絡(luò)環(huán)境風(fēng)險(xiǎn)、信息技術(shù)風(fēng)險(xiǎn)也成為了現(xiàn)代工業(yè)領(lǐng)域必須要面對(duì)和重視的新挑戰(zhàn)、新危機(jī)，一旦工業(yè)控制系統(tǒng)受到侵襲，出現(xiàn)信息外泄、程序篡改、設(shè)備損壞、通信中斷等問題，很可能引發(fā)嚴(yán)重化、連鎖性的事故后果，對(duì)工業(yè)生產(chǎn)的經(jīng)濟(jì)效益、安全效益、社會(huì)效益產(chǎn)生極大影響。所以，我們有必要對(duì)工業(yè)控制系統(tǒng)終端設(shè)備信息安全防護(hù)體系的相關(guān)話題展開探究討論。

1 工業(yè)控制系統(tǒng)終端設(shè)備信息安全防護(hù)體系的發(fā)展現(xiàn)狀

近年來，隨著“中國(guó)制造2025”“兩化融合”“互聯(lián)網(wǎng)+”等重要國(guó)策、戰(zhàn)略項(xiàng)目的陸續(xù)發(fā)布與建設(shè)實(shí)行，我國(guó)工業(yè)領(lǐng)域的現(xiàn)代化、信息化水平整體上有了明顯提升，集中控制系統(tǒng)、分散控制系統(tǒng)、現(xiàn)場(chǎng)總線控制系統(tǒng)等工業(yè)控制系統(tǒng)也越來越多地被運(yùn)用到工業(yè)生產(chǎn)實(shí)踐當(dāng)中。發(fā)展至今，工業(yè)控制系統(tǒng)已實(shí)現(xiàn)了與電力供配、油氣開發(fā)、航空航天、車船制造、武器制造等多個(gè)領(lǐng)域的深度融合，成為了助推我國(guó)經(jīng)濟(jì)實(shí)力、國(guó)防實(shí)力、工業(yè)實(shí)力、民生實(shí)力等綜合國(guó)力發(fā)展的關(guān)鍵動(dòng)力。但隨著信息化水平的提高，由于設(shè)計(jì)之初較弱的防護(hù)能力，工業(yè)控制系統(tǒng)極其容易被病毒、木馬、蠕蟲等黑客技術(shù)攻擊，一旦被入侵，將會(huì)引發(fā)生產(chǎn)設(shè)備故障、機(jī)密信息泄露、控制程序篡改、現(xiàn)場(chǎng)安全事故等一系列問題，形成對(duì)工業(yè)企業(yè)乃至社會(huì)整體的極大危害[1]。

面對(duì)這一情況，我國(guó)發(fā)布了《信息安全等級(jí)保護(hù)管理辦法》《信息安全等級(jí)保護(hù)基本要求》《網(wǎng)絡(luò)安全法》等政策制度與法律法規(guī)，并于2019年12月1日正式完成了由“等保1.0”到“等保2.0”的優(yōu)化變革，在提出主動(dòng)防御、攻防對(duì)抗、態(tài)勢(shì)感知、全程保護(hù)等新要求，引入云安全、大數(shù)據(jù)、物聯(lián)網(wǎng)、工業(yè)控制、移動(dòng)安全等新內(nèi)容的基礎(chǔ)上，對(duì)以企業(yè)為代表的網(wǎng)絡(luò)運(yùn)營(yíng)者的工控系統(tǒng)管理責(zé)任、信息安全防護(hù)責(zé)任作出了明確。由此，基于誰主管誰負(fù)責(zé)、誰運(yùn)營(yíng)誰負(fù)責(zé)、誰使用誰負(fù)責(zé)的原則，“如何做好工業(yè)控制系統(tǒng)的高效應(yīng)用”“如何充分保障終端設(shè)備的信息安全”等成為了電力企業(yè)在生產(chǎn)實(shí)踐中必須要提起重視、深入思考的問題。

2 工業(yè)控制系統(tǒng)終端設(shè)備信息安全防護(hù)體系的風(fēng)險(xiǎn)分析

從目前來看，工業(yè)控制系統(tǒng)及其終端設(shè)備在投用運(yùn)行中存在多種表現(xiàn)形式、多種影響機(jī)制、多種產(chǎn)生來源的風(fēng)險(xiǎn)隱患，可大致分為環(huán)境風(fēng)險(xiǎn)、技術(shù)風(fēng)險(xiǎn)與管理風(fēng)險(xiǎn)三個(gè)部分。這些風(fēng)險(xiǎn)既可單一出現(xiàn)，也可綜合發(fā)生，相關(guān)人員在構(gòu)建信息安全防護(hù)體系時(shí)必須要引起全面重視。具體來講：

2.1 環(huán)境風(fēng)險(xiǎn)

工業(yè)控制系統(tǒng)及其終端設(shè)備面臨的環(huán)境風(fēng)險(xiǎn)，可進(jìn)一步分成物理環(huán)境風(fēng)險(xiǎn)與網(wǎng)絡(luò)環(huán)境風(fēng)險(xiǎn)兩個(gè)方面：

第一，物理環(huán)境風(fēng)險(xiǎn)。通常情況下，工業(yè)控制系統(tǒng)的硬件機(jī)房、終端設(shè)備會(huì)部署在車間現(xiàn)場(chǎng)或廠區(qū)周邊，所處環(huán)境的綜合質(zhì)量相對(duì)較差。例如，若廠區(qū)、車間并未設(shè)置門禁安保系統(tǒng)，或缺乏全天候、廣覆蓋的監(jiān)管支持，將有可能出現(xiàn)外部人員或非專業(yè)人員進(jìn)入機(jī)房的情況，進(jìn)而形成越權(quán)操作、設(shè)備被盜等安全風(fēng)險(xiǎn)。再如，工業(yè)控制系統(tǒng)及其終端設(shè)備在軟件、硬件層面均具有一定脆弱性，其本身很難對(duì)溫濕度變化、電磁干擾、水火侵襲等風(fēng)險(xiǎn)事件形成有效的抵御和應(yīng)對(duì)，進(jìn)而產(chǎn)生相應(yīng)的受災(zāi)風(fēng)險(xiǎn)。此外，老鼠、昆蟲等生物侵襲，以及不規(guī)范的工業(yè)生產(chǎn)行為，也會(huì)對(duì)工業(yè)控制系統(tǒng)及其終端設(shè)備造成物理損傷，對(duì)其安全性、穩(wěn)定性產(chǎn)生負(fù)面影響。

第二，網(wǎng)絡(luò)環(huán)境風(fēng)險(xiǎn)。理論上講，工業(yè)控制系統(tǒng)應(yīng)具備單向傳遞、網(wǎng)絡(luò)獨(dú)立的構(gòu)建特點(diǎn)，以確保其信息體系的穩(wěn)定安全。但從實(shí)際情況來看，我國(guó)很大一部分企業(yè)并未對(duì)工業(yè)控制系統(tǒng)與其他工作系統(tǒng)進(jìn)行網(wǎng)絡(luò)區(qū)域上的明確區(qū)分，甚至?xí)苯訉⒐た鼐W(wǎng)絡(luò)與公共網(wǎng)絡(luò)連接在一起。在物聯(lián)網(wǎng)技術(shù)的滲透融合下，這種現(xiàn)象還表現(xiàn)出了愈演愈烈的趨勢(shì)。這樣一來，工控網(wǎng)絡(luò)趨于邊界模糊化、區(qū)域開放化，既不利于信息安全防護(hù)體系的精確部署，也會(huì)增大黑客、病毒直接侵入的幾率，使工業(yè)控制系統(tǒng)及其終端設(shè)備處于相對(duì)危險(xiǎn)的境地之中[2]。

2.2 技術(shù)風(fēng)險(xiǎn)

現(xiàn)階段，一些企業(yè)在開展信息化建設(shè)、構(gòu)架工業(yè)控制系統(tǒng)時(shí)存在“重生產(chǎn)，輕安全”的偏誤問題，即只注重工業(yè)控制系統(tǒng)及其終端設(shè)備的控制模式是否先進(jìn)、控制功能是否完善、控制范圍是否寬廣，而疏于對(duì)系統(tǒng)安全需求、信息保護(hù)要求的重視與響應(yīng)。在此背景下，各類技術(shù)風(fēng)險(xiǎn)、系統(tǒng)隱患極易滋生，對(duì)信息化工業(yè)生產(chǎn)活動(dòng)的安全高效開展構(gòu)成了很大威脅。例如，若工業(yè)控制系統(tǒng)在架構(gòu)設(shè)計(jì)階段并未對(duì)用戶權(quán)限進(jìn)行明確的訪問控制，將意味著任何人員都有可能成為系統(tǒng)信息的查看者、系統(tǒng)操作的執(zhí)行者甚至系統(tǒng)啟停的掌控者。此時(shí)，一旦有人員蓄意或失誤實(shí)施了越權(quán)訪問、越權(quán)操作的行為，將會(huì)對(duì)工業(yè)控制系統(tǒng)的穩(wěn)定工況造成破壞，進(jìn)而引發(fā)形影的系統(tǒng)故障甚至生產(chǎn)事故。再如，若企業(yè)并未給工業(yè)控制系統(tǒng)及其終端設(shè)備配備出黑客阻斷、病毒消殺、系統(tǒng)檢查、垃圾清理、風(fēng)險(xiǎn)告警等方面的技術(shù)工具，也會(huì)使工控網(wǎng)絡(luò)整體的風(fēng)險(xiǎn)排查能力、危害應(yīng)對(duì)能力、自我優(yōu)化能力與故障響應(yīng)能力大打折扣。

2.3 管理風(fēng)險(xiǎn)

在“等保2.0”的國(guó)策要求視域下，一個(gè)工業(yè)控制系統(tǒng)終端設(shè)備信息安全防護(hù)體系的順利構(gòu)建，需要組織管理、機(jī)制建設(shè)、通報(bào)預(yù)警、安全規(guī)劃、應(yīng)急處置、能力建設(shè)、態(tài)勢(shì)感知、技術(shù)檢測(cè)、監(jiān)督檢查、隊(duì)伍建設(shè)、經(jīng)費(fèi)保障、教育培訓(xùn)等多項(xiàng)工作內(nèi)容、管理要?jiǎng)?wù)作為支撐。但反觀當(dāng)前，我國(guó)大部分企業(yè)在該方面存在或多或少的制度缺陷或管理疏漏。例如，微軟公司已于2020年1月正式公布，停止對(duì)Windows 7操作系統(tǒng)的服務(wù)支持，Windows XP、Windows 2000等前代操作系統(tǒng)的支持停止時(shí)間則更早。但在實(shí)際的系統(tǒng)構(gòu)建、工業(yè)生產(chǎn)時(shí)，仍有很多企業(yè)仍會(huì)將Windows 7、Windows XP等操作系統(tǒng)應(yīng)用到工程師站、操作員站等工業(yè)控制系統(tǒng)終端當(dāng)中，且并未及時(shí)進(jìn)行系統(tǒng)升級(jí)、硬件更換等方面的管理要求與經(jīng)費(fèi)投入。這樣一來，由于相關(guān)操作系統(tǒng)無法得到運(yùn)營(yíng)商的有效支持，其漏洞修復(fù)、功能拓展、模塊優(yōu)化等行為也就很難主動(dòng)完成，不利于終端設(shè)備信息安全的有效保護(hù)。

3 工業(yè)控制系統(tǒng)終端設(shè)備信息安全防護(hù)體系的構(gòu)建思路

3.1 提高工業(yè)控制系統(tǒng)終端設(shè)備信息安全的環(huán)境防護(hù)水平

首先，電力企業(yè)相關(guān)人員要以傳感器技術(shù)為依托，在工業(yè)控制系統(tǒng)及其終端設(shè)備所處的物理環(huán)境中布設(shè)現(xiàn)場(chǎng)信息感知網(wǎng)絡(luò)，對(duì)物理環(huán)境的溫度、適度、侵入物等風(fēng)險(xiǎn)因素進(jìn)行動(dòng)態(tài)采集、全面化覆蓋、全天候監(jiān)控。在此基礎(chǔ)上，配備異常報(bào)警系統(tǒng)、自動(dòng)消防系統(tǒng)、電磁抵御系統(tǒng)等，以實(shí)現(xiàn)安全事故的及時(shí)響應(yīng)、有效處理。同時(shí)，還應(yīng)在廠區(qū)、車間、機(jī)房等環(huán)境設(shè)置門禁系統(tǒng)，對(duì)不同人員進(jìn)行準(zhǔn)入權(quán)限的劃分，并配以不同的密碼口令、門禁卡牌，從而降低非法侵入、越權(quán)操作等高危事件的發(fā)生幾率，為工業(yè)控制系統(tǒng)終端設(shè)備信息安全提供出物理環(huán)境上的充分保障[3]。

其次，在網(wǎng)絡(luò)環(huán)境方面，電力企業(yè)相關(guān)人員應(yīng)明確做好工控網(wǎng)絡(luò)與其系統(tǒng)網(wǎng)絡(luò)之間的區(qū)域分化，清晰規(guī)劃工業(yè)控制系統(tǒng)的網(wǎng)絡(luò)邊界。在完成規(guī)劃后，相關(guān)人員需要據(jù)此開展“網(wǎng)絡(luò)壁壘”的搭建工作。據(jù)2019年相關(guān)學(xué)界的研究顯示，在調(diào)查市面上工控系統(tǒng)常用的30余種防火墻后發(fā)現(xiàn)，近80%的防火墻是允許入站規(guī)則下的幾乎所有服務(wù)的，其中不乏有大量不安全訪問的存在。同時(shí)，有近70%的防火墻允許網(wǎng)絡(luò)外圍設(shè)備對(duì)防火墻進(jìn)行訪問與控制。由此可見，若僅適用防火墻進(jìn)行工業(yè)控制系統(tǒng)及其終端設(shè)備的保護(hù)，是遠(yuǎn)遠(yuǎn)不夠的。所以，需要在利用防火墻技術(shù)的基礎(chǔ)上，對(duì)“網(wǎng)絡(luò)壁壘”實(shí)施多層強(qiáng)化。例如，可部署集私密網(wǎng)關(guān)、工業(yè)網(wǎng)閘、工業(yè)防火墻、通道密鑰于一體的防御工事，對(duì)黑客、木馬、病毒、高風(fēng)險(xiǎn)數(shù)據(jù)包等的入侵行為進(jìn)行強(qiáng)效阻斷與動(dòng)態(tài)記錄。此外，還應(yīng)盡量弱化工業(yè)控制系統(tǒng)與其他系統(tǒng)之間的交互性，實(shí)現(xiàn)終端設(shè)備數(shù)據(jù)信息的單向化傳輸，以防止風(fēng)險(xiǎn)數(shù)據(jù)混入交互信道，對(duì)工業(yè)控制系統(tǒng)造成內(nèi)部侵襲。

最后，電力企業(yè)還應(yīng)做好人力資源在環(huán)境監(jiān)督管理方面的有效利用，設(shè)置專門化的現(xiàn)場(chǎng)巡視、后臺(tái)監(jiān)控等人員崗位或工作隊(duì)伍，以充分提高環(huán)境風(fēng)險(xiǎn)的排查與響應(yīng)能力，為工業(yè)控制系統(tǒng)及其終端設(shè)備創(chuàng)設(shè)出良好的物理環(huán)境與網(wǎng)絡(luò)環(huán)境。

3.2 優(yōu)化工業(yè)控制系統(tǒng)終端設(shè)備信息安全的技術(shù)防護(hù)體系

在工業(yè)控制系統(tǒng)的應(yīng)用過程中，電力企業(yè)務(wù)必要做到既重視生產(chǎn)，也關(guān)注安全，積極引入先進(jìn)、優(yōu)質(zhì)的信息安全防護(hù)技術(shù)，為系統(tǒng)網(wǎng)絡(luò)及終端設(shè)備的健康、穩(wěn)定、持續(xù)運(yùn)行提供充分保障。例如，可將態(tài)勢(shì)感知技術(shù)融入安全防護(hù)體系，以構(gòu)建和更新漏洞庫(kù)、協(xié)議庫(kù)、指紋庫(kù)、病毒庫(kù)等數(shù)據(jù)庫(kù)為基礎(chǔ)，對(duì)內(nèi)外網(wǎng)絡(luò)的風(fēng)險(xiǎn)信息進(jìn)行細(xì)化檢測(cè)，對(duì)工業(yè)控制系統(tǒng)的異常數(shù)據(jù)流量進(jìn)行動(dòng)態(tài)采集，以實(shí)現(xiàn)病毒、木馬、漏洞等安全隱患的及時(shí)感知、精準(zhǔn)應(yīng)對(duì)。此外，還需做好工業(yè)級(jí)、企業(yè)級(jí)安全管理系統(tǒng)、病毒消殺軟件、代碼加密軟件等的合理利用，從而進(jìn)一步增強(qiáng)工業(yè)控制系統(tǒng)及其終端設(shè)備對(duì)信息安全風(fēng)險(xiǎn)的規(guī)避和抵御能力[4]。

3.3 強(qiáng)化工業(yè)控制系統(tǒng)終端設(shè)備信息安全的管理防護(hù)力度

為了實(shí)現(xiàn)工業(yè)控制系統(tǒng)終端設(shè)備信息安全防護(hù)水平的全面提升，電力企業(yè)在資源管理方面也應(yīng)下足功夫。首先，電力企業(yè)應(yīng)及時(shí)對(duì)落后的操作系統(tǒng)、軟件工具與硬件設(shè)備進(jìn)行淘汰或更新，以確保其具備良好的工作性能與服務(wù)支持，降低外部風(fēng)險(xiǎn)的侵入幾率與破壞能力。其次，電力企業(yè)應(yīng)盡量在內(nèi)部建立起系統(tǒng)、軟件、硬件等的統(tǒng)一化應(yīng)用標(biāo)準(zhǔn)，以在降低工業(yè)控制系統(tǒng)搭建與運(yùn)行難度的同時(shí)，避免防火墻、殺毒軟件等與操作系統(tǒng)型號(hào)版本不兼容的情況發(fā)生。最后，對(duì)于工業(yè)控制系統(tǒng)中的控制終端與上位機(jī)，電力企業(yè)相關(guān)人員應(yīng)及時(shí)做好軟驅(qū)、網(wǎng)口、光驅(qū)等的拆除工作，以更加全面地切斷病毒、黑客等的侵入渠道，實(shí)現(xiàn)工控網(wǎng)絡(luò)管理防護(hù)力度的提升。

4 結(jié)論

總而言之，在實(shí)際應(yīng)用中，工業(yè)控制系統(tǒng)終端設(shè)備所面臨的信息安全風(fēng)險(xiǎn)是高危害、多樣性、多源性的，環(huán)境、管理、技術(shù)等任何一方面存在缺陷，都有可能導(dǎo)致終端設(shè)備及系統(tǒng)整體遭受侵襲。所以，相關(guān)人員在構(gòu)建信息安全防護(hù)體系時(shí)，務(wù)必要堅(jiān)持統(tǒng)籌兼顧、綜合著手的原則，將先進(jìn)科學(xué)的管理模式、安全技術(shù)、網(wǎng)絡(luò)工具運(yùn)用到系統(tǒng)保護(hù)、風(fēng)險(xiǎn)防控的全過程之中，以確保將信息安全事故的發(fā)生幾率控制在最低水平，充分發(fā)揮出工業(yè)控制系統(tǒng)在現(xiàn)代工業(yè)生產(chǎn)活動(dòng)中的作用價(jià)值。